Los atacantes comprometieron al menos 143 dispositivos conectados a internet en 34 países y utilizaron su ancho de banda a través de la red de proxy residencial Pawns.app, según una investigación de GreyNoise informada el 15 de octubre de 2026.
La cifra corresponde a dispositivos, no a personas u organizaciones únicas. No se informó la fecha de inicio de la campaña.
Pawns.app es una aplicación legítima para compartir ancho de banda que paga a los usuarios que permiten voluntariamente que tráfico de terceros pase por su conexión a internet. Sin embargo, en esta operación el software se instaló sin el consentimiento de los propietarios de los dispositivos. Desplegarlo en numerosos sistemas comprometidos permitiría al operador cobrar los pagos mientras utiliza la conectividad y las direcciones IP de confianza de las víctimas.
Según se informa, GreyNoise descubrió la actividad al analizar tráfico sospechoso en una organización no identificada. En algunos compromisos, el atacante también configuró la autenticación con claves SSH, lo que proporcionaba una vía adicional para recuperar el acceso.
Cuatro vulnerabilidades conocidas facilitaron el acceso inicial
Las intrusiones informadas involucraron fallos que afectan a dispositivos de almacenamiento D-Link heredados, a un componente de SAP NetWeaver y a software que el artículo asocia con los sistemas NVR de Ubiquiti UniFi Video. Las cuatro vulnerabilidades figuran en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA).
Dispositivos NAS de D-Link fuera de soporte
Dos fallos explotables de forma remota afectan al endpoint /cgi-bin/nas_sharing.cgi de productos D-Link:
- CVE-2024-3272, CVSS 9.8, expone credenciales codificadas de forma fija mediante el argumento
usercon el valormessagebus. - CVE-2024-3273, CVSS 7,3, permite la inyección de comandos mediante el argumento
system.
Las descripciones de NVD identifican los dispositivos DNS-320L, DNS-325, DNS-327L y DNS-340L hasta 20240403. Sus datos de producto incluyen también DNS-120, DNR-202L, DNS-315L, DNS-320 y DNS-320LW; la única versión exacta de firmware indicada allí es el firmware 1.01.0702.2013 del DNS-320L.
Existen exploits públicos para ambas vulnerabilidades. Los productos afectados ya no tenían soporte cuando se asignaron los fallos, y CISA indica a los operadores que retiren y sustituyan todas las revisiones de hardware asociadas que estén al final de su vida útil o de su servicio, siguiendo las instrucciones de D-Link.
Ambos CVE se incorporaron al catálogo KEV el 11 de abril de 2024. El plazo de corrección para las agencias federales de EE. UU. fue el 2 de mayo de 2024.
Según se informa, Log4Shell se usó contra NVR de Ubiquiti
El informe de la campaña asocia CVE-2021-44228, conocida comúnmente como Log4Shell, con dispositivos NVR de Ubiquiti UniFi Video. El registro de NVD confirma la vulnerabilidad subyacente de Apache Log4j, pero no enumera ningún producto de Ubiquiti, por lo que no establece por sí solo esa correspondencia de producto.
CVE-2021-44228 permite que un atacante que controla datos o parámetros registrados provoque la ejecución de código mediante endpoints LDAP u otros endpoints JNDI controlados por el atacante, cuando está habilitada la sustitución de búsquedas de mensajes. Es específica de log4j-core; no afecta a log4net, log4cxx ni a otros proyectos de Apache Logging Services.
La descripción de NVD abarca desde Log4j2 2.0-beta9 hasta 2.15.0, excluyendo las versiones de seguridad 2.12.2, 2.12.3 y 2.3.1. Indica que 2.15.0 deshabilitó el comportamiento por defecto, mientras que 2.16.0, 2.12.2, 2.12.3 y 2.3.1 eliminaron la funcionalidad. Por otra parte, la lista de productos de NVD registra versiones de Apache Log4j anteriores a la 2.3.1.
CISA incorporó la vulnerabilidad al catálogo KEV el 10 de diciembre de 2021 y fijó el 24 de diciembre de 2021 como plazo federal de corrección. La agencia registra su uso en ataques de ransomware y exige que los activos federales afectados se actualicen o se retiren de las redes de las agencias cuando existan actualizaciones. Las medidas temporales previstas en ED 22-02 solo son aceptables hasta que haya actualizaciones disponibles.
SAP NetWeaver Visual Composer
CVE-2025-31324 es una vulnerabilidad con CVSS 10 en el Metadata Uploader de SAP NetWeaver Visual Composer. Una autorización inadecuada permite a un atacante no autenticado subir binarios ejecutables potencialmente maliciosos, lo que pone en riesgo la confidencialidad, la integridad y la disponibilidad del sistema anfitrión.
La lista de productos de NVD identifica SAP NetWeaver 7.50. CISA incorporó el fallo al catálogo KEV el 29 de abril de 2025, con un plazo federal de corrección hasta el 20 de mayo de 2025, y registra su uso en campañas de ransomware. CISA indica a las agencias que apliquen las mitigaciones del proveedor, que sigan la guía BOD 22-01 aplicable a los servicios en la nube o que dejen de usar el producto si no hay mitigaciones disponibles.
Según se informa, GreyNoise también observó ataques dirigidos a equipos DVR/NVR de Hikvision y Dahua, pero en el relato no se identificaron las vulnerabilidades utilizadas contra esos dispositivos.
Por qué el proxyjacking afecta a algo más que el ancho de banda
Un nodo proxy no autorizado puede transportar tráfico generado por clientes no relacionados del servicio de proxy. En consecuencia, el propietario del dispositivo puede notar un mayor consumo de ancho de banda, daños en la reputación de su IP o bloqueos de acceso impuestos por servicios en línea. El informe también advierte de que la actividad sospechosa que sale por la conexión de una víctima podría llevar a otros a asociar esa dirección IP con abusos.
Las claves SSH adicionales informadas en algunos casos plantean un problema de persistencia independiente. Eliminar solo Pawns.app no necesariamente eliminaría el acceso si una clave controlada por el atacante siguiera autorizada.
Medidas para los propietarios de dispositivos
Las organizaciones que operan sistemas NAS expuestos, grabadores de vídeo o servidores SAP deberían determinar primero si los productos afectados son accesibles desde internet y, después:
- Retirar y sustituir el hardware D-Link afectado y fuera de soporte, en lugar de seguir dependiendo de dispositivos sin soporte.
- Aplicar las mitigaciones de SAP pertinentes a NetWeaver 7.50 o dejar de usarlo donde no haya mitigaciones disponibles.
- Actualizar las implementaciones afectadas de
log4j-coreconforme a los requisitos de CISA. - Revisar los sistemas en busca de instalaciones no autorizadas de Pawns.app y de claves públicas SSH que no pertenezcan a administradores aprobados.
- Restringir las interfaces de administración y el acceso SSH a redes de confianza o a rutas de gestión.
- Rotar las credenciales cuando se sospeche de un compromiso y revisar la actividad de red en busca de tráfico proxy no explicado.
- Evitar paquetes de software de fuentes no confiables, en especial los paquetes que podrían incorporar sistemas a servicios de proxy residencial sin un consentimiento claro.
GreyNoise ofrece además un servicio basado en cuentas para comprobar si una dirección IP está asociada a una red proxy conocida, legítima o «gris». Para los propietarios de dispositivos de borde afectados, una coincidencia inesperada puede servir de apoyo para una investigación posterior, pero las prioridades inmediatas siguen siendo parchear o sustituir los equipos vulnerables y eliminar el acceso no autorizado.
